Ce que vos photos racontent sur vous : retrouver où habite une personne à partir de sa photo d'annonce
Une photo de vélo à vendre, sans visage et sans adresse. Pourtant, le fichier qui la contient en dit beaucoup plus que ce que l'on voit à l'écran.
Petite vérification
Avant de commencer, vérifiez si vous savez encore réaliser ces 3 actions très simples, sur la séance précédente consacrée à la clé USB trouvée sur un parking :
- dans le dossier
~/tp-cle-usb/cle_parking(à recréer avec l'étape 1 de la séance précédente s'il n'existe plus), lancerfile Facture_septembre.pdfet lire le type réel du fichier - dire ce qu'un utilisateur Windows voit comme nom pour
Photos_vacances.jpg.exe, avec l'affichage par défaut des extensions - citer le réflexe à adopter quand on trouve une clé USB inconnue
📌 Réponse attendue
TP pour réfléchir et résoudre des problèmes
Votre défi pour aujourd'hui consiste à retrouver, à partir de deux photos publiées par une personne fictive, où elle habite et quand elle est absente, puis à l'en protéger
Camille Roux, ses photos et son annonce sont fictives, construites pour l'exercice. Par prudence, le « domicile » de Camille a été placé sur un lieu public connu, afin de ne désigner l'adresse de personne.
Ce TP s'effectue uniquement sur les deux photos fournies. N'appliquez jamais cette démarche aux photos d'une personne réelle pour la localiser : ce serait de la surveillance, et non un exercice.
Vous jouez d'abord le rôle de la personne malveillante, ce qui est la meilleure façon de mesurer le risque, puis celui du conseiller qui protège. Camille Roux a publié une annonce pour vendre son vélo, avec une photo prise chez elle. Elle a aussi publié, un peu plus tard, une photo de ses vacances.
Étape 1 — Récupérer les deux photos et installer l'outil
Dans le terminal de votre VM Debian, créez un dossier de travail :
mkdir ~/tp-photos
cd ~/tp-photos
Reproduisez les deux fichiers (ce sont des images de 8 pixels de côté, qui ne montrent rien) :
base64 -d > annonce_velo.jpg <<'EOF'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EOF
base64 -d > vacances_plage.jpg <<'EOF'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EOF
Vérifiez les fichiers, puis installez l'outil d'analyse des métadonnées :
ls -l
file annonce_velo.jpg
sudo apt install libimage-exiftool-perl
- Quelle est la taille de chacun des deux fichiers ?
- Que révèle déjà la commande
file, avant même d'avoir installé l'outil ?
📌 Réponse attendue
Étape 2 — Lire ce que cache le fichier de l'annonce
Affichez toutes les métadonnées de la photo de l'annonce :
exiftool annonce_velo.jpg
- Quelle est la marque et le modèle de l'appareil qui a pris la photo ?
- À quelle date et à quelle heure a-t-elle été prise ?
- Quel nom figure dans le champ
Artist? - Quelles sont les coordonnées GPS enregistrées (latitude et longitude) ?
📌 Réponse attendue
Étape 3 — Placer la photo sur une carte
Les coordonnées sont données en degrés, minutes et secondes. Saisissez leur valeur décimale (latitude
48.636111, longitude -1.511389, le signe négatif désignant l'ouest) dans la zone de recherche du
site openstreetmap.org, sous la forme 48.636111, -1.511389.
- Quel lieu s'affiche ?
- Qu'en déduit-on du lieu où Camille se trouvait au moment de la photo, et de l'endroit où elle habite ?
- L'image elle-même montre-t-elle quelque chose d'identifiable ?
📌 Réponse attendue
Étape 4 — Croiser les deux photos
Affichez les seules informations utiles de la seconde photo :
exiftool -Artist -Make -Model -DateTimeOriginal -GPSPosition vacances_plage.jpg
- Où et quand cette photo a-t-elle été prise ?
- Comment peut-on être sûr que les deux photos ont été prises par la même personne ?
- Que peut en déduire une personne malveillante sur le domicile de Camille ?
📌 Réponse attendue
Étape 5 — Nettoyer les métadonnées
Supprimez toutes les métadonnées de la photo de l'annonce, puis relisez-les :
exiftool -all= annonce_velo.jpg
exiftool annonce_velo.jpg
ls -l
- Que contient le dossier après la première commande ?
- Quelles informations l'outil affiche-t-il encore pour
annonce_velo.jpg? - Pourquoi ne faut-il pas publier tel quel le contenu de ce dossier ?
📌 Réponse attendue
Étape 6 — Conseiller Camille
Camille vous demande : « Mais comment faire pour que mes prochaines photos ne révèlent plus rien ? Et est-ce que je peux faire confiance au site d'annonces, qui m'a dit les supprimer ? » Que lui répondez-vous ?
Restitution orale
Un étudiant (ou un binôme) vient présenter à la classe ce que l'analyse des deux photos a révélé (étapes 2 à 4) et les conseils donnés à Camille (étapes 5 et 6).
- Durée : 5 minutes de présentation + 2 à 3 minutes de questions.
- Qui passe : un(e) étudiant(e) (ou un binôme) désigné(e) par l'enseignant.
- Support : le travail réalisé pendant le TP, aucune préparation supplémentaire n'est nécessaire.
- Ce qui est attendu :
- rappeler le contexte (l'annonce de Camille) et les informations retrouvées dans les photos ;
- présenter la démarche suivie (lecture, carte, croisement) et les conseils donnés ;
- répondre aux questions de la classe.
Cet exercice entraîne à l'oral technique court exigé par plusieurs épreuves du BTS (notamment E5 et E6) : clarté, structure, capacité à répondre à l'improviste.
📌 Une solution
Notions théoriques
Vous venez de retrouver l'adresse d'une personne et ses dates d'absence sans voir son visage ni connaître son adresse. Reste à comprendre ce qu'est une métadonnée, ce qu'elle trahit, et comment s'en protéger.
Qu'est-ce qu'une métadonnée ?
Une métadonnée est une donnée qui décrit une autre donnée. Un fichier de photo contient deux choses : l'image elle-même, et des informations sur la photo, enregistrées automatiquement par l'appareil. Pour les photos, ce format de métadonnées s'appelle EXIF. On y trouve par exemple :
- la marque et le modèle de l'appareil ;
- la date et l'heure de la prise de vue ;
- les coordonnées GPS de l'endroit où la photo a été prise, si la localisation est active ;
- le nom de l'auteur, parfois, ou le logiciel utilisé pour retoucher l'image.
D'autres fichiers en contiennent aussi : documents PDF et bureautiques (nom de l'auteur, logiciel, dates de création et de modification), enregistrements audio ou vidéo.
Une position GPS associée à une personne identifiable est une donnée à caractère personnel, comme vu lors de la séance sur les données personnelles.
Ce qu'un tiers peut déduire
| Métadonnée | Ce qu'un tiers peut en déduire |
|---|---|
| Coordonnées GPS | Le domicile, le lieu de travail, l'école des enfants, les lieux fréquentés |
| Date et heure | Les habitudes (heures de départ, jours d'absence), la durée d'un séjour |
| Marque et modèle | L'équipement possédé (cible de vol), des failles connues de l'appareil |
| Auteur | L'identité réelle, derrière un pseudonyme |
| Plusieurs photos | Un recoupement : même auteur, même appareil, déplacements successifs |
Ce que montre l'image est contrôlé par son auteur : il choisit ce qu'il photographie. Ce que révèlent les métadonnées est souvent ignoré de lui.
Aucune mauvaise intention n'est nécessaire de la part de Camille : le risque vient d'un réglage par défaut, que personne n'a choisi.
Se protéger
Le principe est de supprimer ou de ne pas enregistrer l'information avant qu'elle ne soit publiée :
| Action | Détail |
|---|---|
| Ne pas enregistrer la position | Retirer l'accès à la localisation pour l'application appareil photo |
| Supprimer au partage | De nombreux téléphones proposent d'exclure la position lors de l'envoi d'une photo |
| Nettoyer le fichier | exiftool -all= photo.jpg retire toutes les métadonnées |
| Vérifier | Relire le fichier avec exiftool photo.jpg avant de publier |
Une capture d'écran de la photo ne reprend pas la position de l'image d'origine : elle crée un nouveau fichier, avec ses propres métadonnées techniques (appareil, date). C'est un moyen simple de « nettoyer » une image, mais cela ne remplace pas la vérification.
Le même raisonnement vaut pour les documents : un PDF ou un fichier bureautique transmis à un
client peut contenir le nom de son auteur, le nom d'utilisateur de la machine ou des dates internes.
exiftool les lit aussi (exiftool document.pdf).
Test de mémorisation/compréhension
Bonnes pratiques
- Considérer qu'une photo contient plus que l'image : appareil, date, auteur et parfois position.
- Désactiver la localisation de l'appareil photo, sauf besoin précis.
- Nettoyer les métadonnées avant de publier (
exiftool -all=), puis supprimer la copie_original. - Vérifier le résultat avec
exiftool: ne pas se fier à un réglage dont on n'est pas sûr. - Ne pas compter sur la plateforme pour effacer les métadonnées : la protection se fait avant l'envoi.
- Différer la publication des photos de vacances, pour ne pas annoncer l'absence du domicile.